Dlaczego potrzebny jest JsonRequestBehavior?

Dlaczego jest Json Request Behaviorpotrzebny

Jeśli chcę ograniczyć HttpGetżądania do mojej akcji, mogę ozdobić akcję [HttpPost]atrybutem

Przykład:

[HttpPost]
public JsonResult Foo()
{
    return Json("Secrets");
}

// Instead of:
public JsonResult Foo()
{
    return Json("Secrets", JsonRequestBehavior.AllowGet);
}

Dlaczego nie [HttpPost]wystarcza?
Dlaczego struktura „wkurza” nas za to, JsonRequestBehavior.AllowGetco JsonResultmamy. Jeśli chcę odmówić otrzymania żądań, dodam HttpPostatrybut.

MVC domyślnie DenyGetchroni Cię przed bardzo szczególnym atakiem obejmującym żądania JSON w celu zwiększenia prawdopodobieństwa, że ​​implikacje zezwolenia na HTTP GETekspozycję zostaną rozważone przed zezwoleniem na ich wystąpienie.

W przeciwieństwie do tego, kiedy może być już za późno.

Uwaga: jeśli metoda działania nie zwraca wrażliwych danych, zezwolenie na pobranie powinno być bezpieczne.

Dalsza lektura z mojej książki Wrox ASP.NET MVC3

Domyślnie środowisko ASP.NET MVC nie pozwala na odpowiedź na żądanie HTTP GET z ładunkiem JSON. Jeśli musisz wysłać JSON w odpowiedzi na GET, musisz jawnie zezwolić na zachowanie, używając JsonRequestBehavior.AllowGet jako drugiego parametru do metody Json. Istnieje jednak szansa, że ​​złośliwy użytkownik może uzyskać dostęp do ładunku JSON w procesie znanym jako porwanie JSON. Nie chcesz zwracać poufnych informacji za pomocą JSON w żądaniu GET. Aby uzyskać więcej informacji, zobacz post Phila na http://haacked.com/archive/2009/06/24/json-hijacking.aspx/ lub ten post SO.

Haack, Phil (2011). Profesjonalny ASP.NET MVC 3 (programator Wrox do programisty) (lokalizacje Kindle 6014-6020). Wrox. Wersja Kindle.

Powiązane pytanie StackOverflow

W przypadku większości ostatnio używanych przeglądarek (począwszy od Firefox 21, Chrome 27 lub IE 10) nie jest to już luka w zabezpieczeniach.

Aby ci to ułatwić, możesz także utworzyć atrybut filtru akcji

public class AllowJsonGetAttribute : ActionFilterAttribute
{
    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;

        if (jsonResult == null)
            throw new ArgumentException("Action does not return a JsonResult, 
                                                   attribute AllowJsonGet is not allowed");

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;            

        base.OnResultExecuting(filterContext);
    }
}

i wykorzystaj go w swojej akcji

[AllowJsonGet]
public JsonResult MyAjaxAction()
{
    return Json("this is my test");
}

Domyślnie Jsonresult „Deny get”

Załóżmy, że mamy metodę jak poniżej

  [HttpPost]
 public JsonResult amc(){}

Domyślnie jest to „Deny Get”.

W poniższej metodzie

public JsonResult amc(){}

Kiedy musisz zezwolić lub użyć get, musimy użyć JsonRequestBehavior.AllowGet.

public JsonResult amc()
{
 return Json(new Modle.JsonResponseData { Status = flag, Message = msg, Html = html }, JsonRequestBehavior.AllowGet);
}

Ulepszając nieco odpowiedź @Arjena de Mooij, dostosowując AllowJsonGetAttribute do kontrolerów mvc (nie tylko poszczególnych metod akcji):

using System.Web.Mvc;
public sealed class AllowJsonGetAttribute : ActionFilterAttribute, IActionFilter
{
    void IActionFilter.OnActionExecuted(ActionExecutedContext context)
    {
        var jsonResult = context.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
    }

    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
        base.OnResultExecuting(filterContext);
    }
}

Nie potrzebujesz tego.

Jeśli twoje działanie ma ten HttpPostatrybut, nie musisz przejmować się ustawieniem JsonRequestBehaviori użyj przeciążenia bez niego. Istnieje przeciążenie dla każdej metody bez JsonRequestBehaviorwyliczenia. Tutaj są:

Bez JsonRequestBehavior

protected internal JsonResult Json(object data);
protected internal JsonResult Json(object data, string contentType);
protected internal virtual JsonResult Json(object data, string contentType, Encoding contentEncoding);

Z JsonRequestBehavior

protected internal JsonResult Json(object data, JsonRequestBehavior behavior);
protected internal JsonResult Json(object data, string contentType, 
                                   JsonRequestBehavior behavior);
protected internal virtual JsonResult Json(object data, string contentType, 
    Encoding contentEncoding, JsonRequestBehavior behavior);